본문 바로가기

Avira

벌새::Analysis 2019. 2. 12. 20:39 MS Office DDE(동적 데이터 교환) 필드를 악용한 Morty 스파이웨어 유포 주의 (2019.2.12) 최근 수신된 메일 중 MS Word 프로그램의 동적 데이터 교환(Dynamic Data Exchange, DDE) 필드 기능을 악용하여 악성코드를 자동 다운로드하는 방식이 확인되어 살펴보도록 하겠습니다. Microsoft Security Advisory 4053440 : Securely opening Microsoft Office documents that contain Dynamic Data Exchange (DDE) fields 참고로 마이크로소프트(Microsoft) 업체에서는 2017년 11월경에 Microsoft Office 프로그램의 DDE 필드가 포함된 문서와 관련된 보안 권고를 통해 기능을 비활성화할 수 있는 방법을 공개하고 있으며, 현재 MS Word 프로그램은 업데이트를 통해 기본적으로..
벌새::Analysis 2017. 10. 15. 19:09 검색 도우미 : timeSearch 인터넷 검색 시 다양한 광고창을 자동으로 생성할 수 있는 "jncmarketing Co., Ltd" 디지털 서명이 포함된 파일을 통해 설치되는 국내에서 제작된 timeSearch 광고 프로그램(SHA-1 : afe3b4963948c8db22ef007f94be05d380a156a8 - Avira : ADWARE/Kraddare.hfypx)에 대해 살펴보도록 하겠습니다. 생성 폴더 / 파일 등록 정보 C:\Users\%UserName%\AppData\Roaming\timeSearch C:\Users\%UserName%\AppData\Roaming\timeSearch\timeSearch.exe :: 시작 프로그램(howcodec) 등록 파일, 메모리 상주 프로세스 C:\Users\%UserName%\AppDa..
벌새::Analysis 2017. 10. 5. 15:39 freeurls 프로그램을 통해 자동 설치되는 "Windows Smart Search Support" 광고 프로그램 주의 (2017.10.5) 2016년 중반에 출현한 "Windows Smart Search" 광고 프로그램은 가상 환경 및 분석 환경을 체크한 후 정상 동작하여 사용자 몰래 다수의 광고성 웹 사이트 접속 행위 및 바로 가기 아이콘 생성과 같은 다양한 광고 행위를 수행하던 국내에서 제작된 광고 프로그램이었습니다. 당시 분석 정보가 공개된 이후 2016년 하반기경 유사한 광고 행위 수행을 위해 프로그램 이름은 "Windows Smart Search Support"으로 변경되었으며, 설치된 프로그램 폴더 위치와 파일명이 약간 변경되었습니다. 이번에 소개된 부분은 freeurls 프로그램(SHA-1 : 8d9a2a5fb3263df5ee2740ca97934fc61d7d8bfd - ESET : a variant of Win32/AdWare...
벌새::Analysis 2017. 3. 31. 19:19 검색 도우미 : NewsGo 바탕 화면에 바로 가기 아이콘 생성 및 광고창을 생성할 수 있는 국내에서 제작된 NewsGo 광고 프로그램에 대해 살펴보도록 하겠습니다. 대표적인 배포 방식을 살펴보면 네이버(Naver) 블로그를 통해 다양한 소프트웨어 다운로드를 통해 설치용 프로그램(SHA-1 : 823d8c4d18bf35aae549cb98434a4e6d043cd1ca - AVG : Win32/DH{PAkl?})을 다운로드하도록 유도합니다. 실행된 프로그램은 사용자가 원하는 소프트웨어 설치 파일을 다운로드하는 과정에서 기본값으로 체크된 NewsGo 제휴 프로그램의 설치 파일을 자동 다운로드됩니다. NewsGo 설치 파일 : h**ps://news**.kr:427/do****ad/NewsGoInst.exe (SHA-1 : 45b0b962..
벌새::Analysis 2017. 2. 4. 13:52 검색 도우미 : BomulHelper 인터넷 검색 시 웹 브라우저 상단에 광고바를 생성하는 국내에서 제작된 BomulHelper 광고 프로그램에 대해 살펴보도록 하겠습니다. 2016년 11월경부터 배포된 것으로 추정되는 BomulHelper 광고 프로그램 배포 파일(SHA-1 : c7609314e7355878ee6a5e4842848b93a5126194 - BitDefender : Trojan.GenericKD.3754038)이 실행될 경우 설치 파일을 추가적으로 다운로드합니다. 다운로드된 설치 파일은 "C:\Users\%UserName%\AppData\Local\Temp\GetBomulHelperSetup.exe" 파일(SHA-1 : 1142a1a3e79ea4a46fb85dae742e948062b21c8d - ESET : a variant ..
벌새::Analysis 2016. 12. 8. 18:05 검색 도우미 : Cdragon 인터넷 검색 및 웹 사이트 접속 시 자동으로 다수의 광고창을 생성할 수 있는 국내에서 제작된 Cdragon 광고 프로그램(SHA-1 : 1bf130c543fa5f6d7e54b30c0c530736ec20cfc5 - ESET : a variant of Win32/Adware.Kraddare.LV)에 대해 살펴보도록 하겠습니다. 생성 폴더 / 파일 등록 정보 C:\Users\%UserName%\AppData\Roaming\Cdragon C:\Users\%UserName%\AppData\Roaming\Cdragon\Cdragon.exe :: 시작 프로그램(howcodec) 등록 파일, 메모리 상주 프로세스 C:\Users\%UserName%\AppData\Roaming\Cdragon\unins000.dat C:..
벌새::Analysis 2016. 11. 27. 15:12 날씨 정보가 포함된 OneDayWeather 광고 프로그램 유포 주의 2015년 11월 초부터 유포된 날씨 정보를 제공하는 프로그램으로 위장하여 광고 행위와 추가적인 제휴 프로그램 설치를 유도하는 OneDayWeather 광고 프로그램의 유포 방식, 광고 기능, 프로그램 제거 시 주의할 점에 대해 자세하게 살펴보도록 하겠습니다. 확인된 배포 방식으로는 "jncmarketing Co., Ltd" 디지털 서명이 포함된 μTorrent 설치 파일(SHA-1 : 030f7e28548e0080d899eb63ffdfc69ffeefb814 - BitDefender : Trojan.Generic.17258092)로 위장하여 실행 시 추가된 3개의 광고 제휴 프로그램 중 하나로 일괄 설치될 수 있습니다. 프로그램 제거 시 사용자 몰래 광고 프로그램을 설치할 수 있는 LineUp 주의 (2..
벌새::Analysis 2016. 11. 17. 20:05 프로그램 제거 목록을 생성하지 않는 PickPlus 악성 광고 프로그램 주의 (2016.11.17) 2015년 11월 초부터 유포된 것으로 확인되는 국내에서 제작된 PickPlus 악성 광고 프로그램은 이전에 공개한 프로그램 제거 시 사용자의 실수를 유발하여 자동 설치될 수 있는 LineUp 광고 프로그램과 동일한 유형을 가지고 있습니다. 프로그램 제거 시 사용자 몰래 광고 프로그램을 설치할 수 있는 LineUp 주의 (2016.11.12) PickPlus 광고 프로그램의 설치 과정을 살펴보면 배포 파일(SHA-1 : 2c0698892253eb1c94c31ce327e4ca15a4557a86 - Hauri ViRobot : Adware.Agent.311520.A[h]) 실행을 통해 추가적인 다운로드를 통해 PickPlus 설치 파일이 다운로드됩니다. 다운로드된 PickPlus 설치 파일은 "C:\User..

티스토리툴바